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Monsieur le Directeur Général 
de la Sûreté Nucléaire et 
de la Radioprotection 
6 Place du Colonel Bourgoin 
75572 PARIS 


œ/£T. 


Paris, le 


Monsieur le Directeur Général, 

Par votre lettre en référence, vous me demandez d'examiner l’aptitude du projet EPR à faire 
face à la chute d’un avion de ligne tel qu’on les envisage dans le ciel européen, et de vous faire 
les propositions utiles à l’issue de cet examen. 

Très rapidement après les attentats du 11 Septembre 2001 commis aux Etats-Unis, EDF s'est 
préoccupé de cette question et a examiné ia conception du projet EPR à cet égard. 

Comme vous le soulignez, le projet a été conçu d'entrée de jeu pour faire face à la chute d’un 
avion militaire qui représente déjà un cas de charge sévère. A ce titre, les concepteurs ont 
été amenés à choisir une architecture générale, fonctionnelle et géographique, qui tienne 
compte de telles chutes. C’est ainsi que le projet comporte une architecture générale 
organisée en 4 trains, physiquement distincts, et qu'une partie de l'installation est 
« bunkérrsée ». Il s'agit en particulier du bâtiment réacteur, du bâtiment du combustible usé 
et du bâtiment des auxiliaires de sauvegarde qui abrite 2 des 4 trains de sauvegarde (parties 
mécaniques et électriques). 

La partie « bunkérisée», dimensionnée comme il a été rappelé pour un impact de type avion 
militaire, présente d’ores et déjà une résistance élevée, notamment vis à vis des risques de 
perforation ; les caractéristiques d’un avion militaire en font en effet un missile considéré 
comme « perforant ». 

Ces dispositions générales confèrent au projet EPR une grande robustesse vis à vis de l'impact 
potentiel d'un avion de type commercial, et sont donc maintenues sans changement. 
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Nonobstant l'aptitude du projet EPR à faire face à des chutes d'avion, i! convient de noter 
qu'EDF n'envisage pas d’assurer une capacité de résistance vis-à-vis de tout acte de guerre ou 
tout acte terroriste envisageable. La prévention de ceux-ci ou la limitation de leur effet 
relève essentiellement de la puissance publique. 

Dans ces conditions, 

o d'une part la vérification de l'aptitude de l'installation à faire face à de telles chutes 
et les dispositions associées doivent être considérées comme hors du 
dimensionnement « normal » de l’installation, et je suis donc conduit à placer cette 
situation dans les catégories de situations dite « Risk Réduction Category » (RRC), 
o d'autre part les hypothèses relatives à l'impact doivent assurer une couverture 
« raisonnable » du risque, et ne peuvent prétendre envelopper toutes les 
éventualités. En outre, il me semble qu'elles doivent demeurer cohérentes avec les 
pratiques internationales en cours, et ne pas non plus introduire de différences trop 
fondamentales avec la façon dont cette question est obordée pour les autres 
installations industrielles à risque. 

Il me semble également que les hypothèses, règles utilisées et analyses associées ne devraient 
pas figurer dans les rapports de sûreté accessibles au susceptibles d'être accessibles 
publiquement. 

Cette logique générale est précisée en annexe. En complément, peur pouvoir effectuer ou 
vérifier le dimensionnement des voiles constituait la protection de la partie bunkérisée, il 
apparaît nécessaire de définir un cas de charge qui serve de référence. 

Il apparaît également souhaitable que ce cas de charge de référence, tout en permettant de 
couvrir de façon appropriée les avions dont on envisage la chute dans le cadre d'une action 
malveillante, ne soit pas directement associable à tel ou tel type d’avion, ni à telle ou telle 
vitesse d'impact. Il doit donc correspondre à une hypothèse de dimensionnement 
conventionnelle associée à des méthodes de calcul et des critères également conventionnels. 

Dans ce contexte, je suis donc conduit à proposer que soit retenu le cas de chargement défini 
en annexe, cas de chargement qui couvre raisonnablement les risques susceptibles d'être 
engendrés par les types d'avion envisageables dans le ciel européen. 

Je vous prie d’agréer. Monsieur le Directeur Général, l’expression de ma haute considération. 


B. LESCOEUR 



EDF-SEPTEN 

22-02-2003 


CONFIDENTIEL DEFENSE 


Démarche de dimensionnement des ouvrages EPR 
vis-à-vis du 

risque lié aux chutes d'avions civils 


I - Principes et Objectifs 

Les centrales doivent être protégées de façon appropriée vis-à-vis du risque lié à la chute d‘avions. 
Pour ce faire, il est habituel de distinguer 3 catégories d’aviation: l'aviation générale, ( aviation 
commerciale, l'aviation militaire. Chacune de ces catégories présente un risque potentiel de nature 
distincte. 

Pour l'aviation générale, sur la base des statistiques, on considère que la probabilité de chute n'est 
pas suffisamment faible pour que le risque sait considéré comme résiduel. Ce type d'aviation est donc 
pris en compte comme une donnée de dimensionnement normal. 

Pour l'aviation commerciale, sur la base des statistiques, la probabilité de chute sur une centrale est 
très faible. Par contre, à la lumière des événements du 11 septembre 2001, on ne peut exclure une 
action volontaire (qui ne peut être cernée en termes de probabilité}, II est donc convenu de prendre 
en compte ce type de risque, et de le prendre en compte au titre de la conception mais hors du 
dimensionnement "normal", et donc comme situation complémentaire assimilable à la catégorie dite de 
réduction du risque (RRC) 1 . 

II en est de même pour ['aviation militaire, pour laquelle l'analyse statistique ne permet pas toujours 
de conclure de façon tranchée, et qu'il a été convenu de prendre en compte dans le projet EPR. 

D’une façon globale, ['objectif général recherché est que, en cas de chute d’avion sur la centrale, il 
n'y ait pas de conséquences inacceptables par rapport à la nature du risque. 

C'est ainsi que: 

o au titre du dimensionnement normal (aviation générale) les conséquences ne doivent dépasser 
les limites fixées pour les accidents de catégorie 4 ( 2 }.(PCC 4) 

o au titre du dimensionnement complémentaire (aviation commerciale) les conséquences ne 
doivent pas dépasser les limites de la catégorie RftC-8 ( 3 * ). 


La protection contre ce risque fait appel à diverses dispositions telles que: 
o Architecture générale, fonctionnelle et géographique. 


1 Cette définition, cohérente avec la classification EPR, correspond en principe au vocable "design extension" que Ton trouve 
dans certains pays. 

z Cf S 5.2,2 ETC-S: <50 mSv dose effective 50 ans, <150 m5v dose thyroide. 

3 Cf S 5.2.4 ETC-S: < 2 10* TBq Xel33; 11,4 TBq 1131: 1,6 TBq Csl37 à court terme (24h) et < 5 10 5 TBq Xel33; 30 TBq 1131: 

2,7 TBq Csl37 à fcmq terme. 
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Le choix de ces différentes dispositions relève de ta conception d'ensemble de l'installation. Une fois 
celle ci définie, on en déduit les parties de l’installation (systèmes, fonctions, ouvrages,...) qui doivent 
faire l'objet d'une protection physique. Cette démarche. Suivie au titre de la prise en compte du 
risque lié à l'aviation militaire, reste appropriée pour la prise en compte du risque relatif à la chute 
d'avion de type commercial, et est donc maintenu sans changement. 

L'objet du présent document est prioritairement de définir les règles et hypothèses associées au 
dimensionnement des ouvrages de protection (parois de la partie "bunkérisée") et non pas de couvrir 
l'ensemble de la conception de la centrale vis à vis de ce risque aviation. 

2 - Hypothèses et méthodes de dimensionnement (aviation générale) 

Pour mémoire, le cas de chargement est rappelé en annexe.. La surface d'application 
considérée est de 4 m z . 

3 - Hypothèses et méthodes de dimensionnement (aviation militaire) 

Pour mémoire, les cas de chargement sont rappelés en annexe, 2 cas sont distingués pour 
d'une part le dimensionnement/vérification de la résistance des parois, d'autre part pour 
déterminer les vibrations induites'’. 

4 - Hypothèses et Méthodes de dimensionnement complémentaire 
(aviation commerciale) 


Pour le dimensionnement mécanique des ouvrages on utilisera la courbe conventionnelle CA, jointe en 
annexe, qui donne l'effort en fonction du temps pour le cas d'un impact normal à ia paroi. Ces efforts 
sont à adapter en fonction de l'angle d'incidence et en fonction de la réponse dynamique de la 
structure subissant l'impact. 

Ces données seront utilisées pour dimensionner ou vérifier 

La stabilité et la résistance d'ensemble des ouvrages protégés 

Les vibrations induites dans les structures, qui ne doivent pas conduire à la défaillance des 
équipements nécessaires 

La résistance des protections au risque de pénétration locale 


4 Le cas de l'aviation militaire est traité dans le dossier EPR discuté par SP/RSK avec en référence les courbes Cl et CZ. Il 
n'est pas repris en détail ici._ 
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Pour le dimensionnement de la résistance des protections vis à vis de la pénétration et pour le 
détermination des déformations locales, on associe aux efforts définis par la courbe CA les surfaces 
d'application suivantes: 40 m' pour le 1 er plateau, 90 pour le 2 eme plateau. Par convention pour le 
dimensionnement, cette surface sera considérée comme circulaire. En autre, Ia non perforation 
ponctuelle devra être assurée avec le chargement localisé 2t, 200m/s, 2 m 2 (au pour ne pas indiquer 
de vitesse particulière xxMN, yy ms, 2 m^); P utilisation de la formule semi-empirique de juste 
perforation (formule dite CEA-EDF) est préconisée. 

Pour la détermination des ébranlements (spectres de vibrations) induits dans les bâtiments, et 
auxquels les équipements nécessaires doivent résister, on retiendra quelques points d'impact 
conventionnels localisés en partie centrale des parois exposées {en excluant ainsi les localisations les 
plus invraisemblables ou non représentatives). Pour les voiles horizontaux (toitures), on retiendra un 
angle d'incidence par rapport à T horizontale de 30 e . Aucune démonstration particulière d aptitude 
des matériels nécessaires n'est requise si les vibrations induites sont inférieures à celles retenues 
pour le séisme dans la gamme de fréquence 5-2QHz { gamme de fréquence à confîrmer). 

D'une façon générale, on utilise des données et méthodes "réalistes" (caractéristiques réelles des 
matériaux, limites de résistance et non limites élastiques,,,.) et on ne cumule pas d'autres 
défaillances que celles induites par l'impact (pas d'application de CDU) et on ne cumule pas avec 
d l autres chargements (séisme, accident non induit,...) 

Dans les cas où il existe une double paroi, et que la paroi interne présente une certaine robustesse vis 
à vis de projectiles (éclats de béton, projectiles résiduels, chocs,,.,), il est admis d'aller jusqu’à la 
limite de perforation sans exclure des éclats de béton, et les déformations locales sont admises 
jusqu'au contact (si par ailleurs elles ne mettent pas en cause des équipements nécessaires). 

Ceci conduit à utiliser des critères limites de comportement pour les aciers de 5% (allongement) et 
pour le béton de 1% (raccourcissement) dans le cas de double voile. 

Par rapport au dimensionnement des voiles du projet EPR "Basic Design 1 ', ces hypothèses de 
chargement et ces règles ou critères, conduiront à un renforcement des armatures et à un 
épaississement de certains voiles. 




Force 
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Design extension CA loadrng diagram / Chargement CA Domaine Ci 
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Annexe 1 / Appendix X 


Desrgn Airpiane Crash loading dîagram/Cas de chargement Aviation Générale 
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Diagramme de chargement Aviation générale 
général aviation loading diagram __ 
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Diagrammes de chargement Aviation Militaire 
Military aviation loading diagrams 
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Diagramme de chargement Aviation Commerciale 
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Annexe 2 / Appendîx 2 


Commentaires sur les éventualités à envisager - Considérations sur la typologie des 
agressions 


On s'intéresse ici aux agressions résultant de I 1 impact potentiel d'avions commerciaux dans la logique 
des attentats suicide du 11 Septembre 2001. 

Compte tenu qu'une centrale nucléaire (en fait les batiments du bloc usine) ne forme pas une très 
grosse cible et qu elle est nettement moins haute qu'un immeuble de grande hauteur, il est sans doute 
assez difficile pour un pilote non chevronné de viser très précisément une zone sensible. Un impact en 
vol horizontal stabilisé supposerait un val à très basse altitude (moins de 50 m) à peu près impossible 
à envisager sauf peut-être pour certains sites en bord de mer. Même dans ce cas, voler à très faible 
altitude n'est pas à la portée de pilotes non chevronnés. On ne peut donc que considérer un pilotage 
de type atterrissage, mais dans des conditions plus difficiles. On doit donc envisager une approche de 
type descente pour atterrissage avec angle faible ( de Tordre de 10°) éventuellement suivie d r une 
inflexion en final (^30°), avec une vitesse de l'ordre de celles utilisées lors des atterrissages. 

On peut évidemment envisager tout type d 1 avion. Plus il est gros, plus il sera difficile d'atteindre une 
cible précise, en manoeuvrant éventuellement, compte tenu de F existence la plupart du temps d'un 
relief ou de divers obstacles plus ou moins proches de la centrale. 

A partir de ces considérations on se propose de retenir pour le dimensionnement des ouvrages, un cas 
de chargement qui ne soit pas spécifique d l un avion déterminé 5 ; Le cas de chargement preposé/retenu 
couvre une large gamme de types/masses/vit esses. Il couvre raisonnablement les chargements induits 
par des avions moyen/gros porteurs à des vitesses relativement élevées de l'ordre de 140-160 m/s 
(500-580 km/h); Il couvre également le cas de jumbo-jets à des vitesses de type "approche'* de 
l’ordre de 100-125 m/s (360-450 km/h). Le diagramme dessous illustre ces données Les surfaces 
d’application de î’impact retenues correspondent à des moyens/gros porteurs tant pour Sa partie 
fuselage que pour la partie ailes et réacteurs; pour Ses jumbo-jets les surfaces à considérer seraient 
plus importantes et les hypothèses sont donc raisonnablement pénalisantes. 


D'une façon générale, quatre effets principaux sont à considérer: 

Un risque de pénétration ou de perforation locale. Ce risque comporte 2 aspects: le 
risque de pénétration lié a l'impact global de l'avion; le risque lié à la perforation par des 
parties petites maïs dures (réacteurs essentiellement). 

Vis-à-vis de ce risque, un avion commercial constitue un projectile relativement « mou », 
mais agissant sur une surface relativement importante et avec des efforts très 
importants. Il n'engendre donc pas de problème de « perforation » aussi sévère que 
d'autres agressions (avion militaire, missile turbine,...). Les réacteurs d l avions de ce type 
sont en effet plus gros (section) et souvent moins lourds que des réacteurs d'avion 


5 Le fait de ne pas afficher un type d'avion donné participe o ïa protection en ne donnant pas d'indication aux éventuels 
terroristes sur les capacités réelles de résistance,__ 
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militaire. Par contre, les déformations et les déplacements des parois peuvent localement 
être importants compte tenu des efforts et des surfaces où elles sont appliquées. 


Un effet global qui comporte 2 aspects: 

Un risque du à l'effort global; Cet aspect concerne la stabilité des ouvrages et les 
déplacements d'ensemble induits. 

Un risque lié à l'ébranlement qui génère des vibrations dans les structures, transmises aux 
équipements. 

En termes d'impact global, un avion commercial constitue un projectile plutôt « lourd» 
avec une grande énergie et induit donc des efforts importants et un ébranlement 
important dans les batiments. Compte tenu de la conception et de la masse de la partie 
"bunkérisée", le projet EPR est "robuste 11 vis à vis de ces effets globaux. 


Un risque Incendie. Les effets liés aux risques d'incendie consécutif à une telle chute sur 
les batiments ou aux alentours sont difficiles à évaluer. Les quantités de carburant 
(kérosène) présentes peuvent être très importantes (plusieurs dizaines de tonnes) même si 
une grande partie est consommée pendant la phase de décollage. Par conception, les parois 
des batiments présentent une certaine capacité de résistance au feu (notamment par 
conception des secteurs de feu), maïs il est difficile de localiser I 1 incendie et d'évaluer les 
durées de feu a considérer. Cependant le REX des incidents/accidents de gros avions 
crashés en bout de piste et au décollage montre que le kérosène brûle très vite, donc pas 
très longtemps et qu'un feu extérieur n'est pas très destructeur pour les structures au 
contraire d’un feu en milieu confiné. Des études plus complètes, avec base théorique, 
indiquent qu'en cas d’impact sur une surface relativement rigide (par opposition en 
particulier à un impact sur de îa terre plus molle) le kérosène s'enflamme très 
vraisemblablement sous forme d’une "boule de feu" impliquant ia quasi totalité du kérosène 
et dont la durée n'est que de quelques secondes, 

La conception d’EPR, avec sa partie centrale "bunkérisée 11 conduit à considérer que les 
bâtiments périphériques peuvent être détruits par l'impact ou l'incendie, mais que 
l'incendie à considérer reste extérieur à la partie bunkérisée. Les parois doivent alors 
résister à ces incendies 

Ces considérations permettent de proposer les hypothèses suivantes (à confirmer): 

o Boule de feu de diamètre d’influence 90m, température 120Q°C, durée 2mn, 
o Feu de l/2h 80Q°C a l'extérieur des batiments résistants au crash. 
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Analyse du chargement proposé pour EPR 





































